정보보호 사전점검 활성화를 위한 점검항목 개선 연구
A Study on Improvement of Inspection Items for Activation of the Information Security Pre-inspection
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
IT환경은 사물인터넷, SNS, 빅데이터, 클라우드 컴퓨팅 등으로 급변하고 있다. 이 기술들은 기존 기술에 새로운기술이 추가되어 정보시스템 간의 복잡도를 증가시킨다. 그러므로 신규 정보통신서비스의 보안 기능 강화가 필요하다. 정보보호 사전점검은 신규 정보통신서비스 설계 단계부터 보안을 고려한 개발 단계를 제시하여 신규 정보통신서비스 제공자와 이용자에게 안정성 및 신뢰성 보장을 목표로 한다. 기존 ‘정보보호 사전점검(점검영역 22개, 통제항목74개/세부항목 129개)’은 6단계(요구사항, 설계, 교육, 구현, 시험/테스트, 대응/사후)로 구성되어 있으며 실효성검토를 위해 실제 정보시스템 개발 업체에서 파일럿 테스트를 수행하였다. 그 결과로 점검항목에 대한 개선 요구사항과 일부 점검항목의 재구성이 필요한 것으로 나타났다. 본 논문은 정보시스템의 사전예방이 목적인 ‘정보보호 사전점검’의 활성화를 위한 연구를 하였다. 그 결과로 요구사항과 보완사항이 반영된 ‘정보보호 사전점검(점검영역 16개, 점검항목 54개/세부항목 76개)’을 도출하였다.
Abstract
IT environments such as IoT, SNS, BigData, Cloud computing are changing rapidly. These technologies add new technologies to some of existing technologies and increase the complexity of Information System. Accordingly, they require enhancing the security function for new IT services. Information Security Pre-inspection aims to assure stability and reliability for user and supplier of new IT services by proposing development stage which considers security from design phase. Existing ‘Information Security Pre-inspection’ (22 domains, 74 control items, 129 detail items) consist of 6 stage (Requirements Definition, Design, Training, Implementation, Test, Sustain). Pilot tests were executed for one of IT development companies to verify its effectiveness. Consequently, for some inspection items, some improvement requirements and reconstitution needs appeared. This paper conducts a study on activation of ‘Information Security Pre-inspection’ which aims to construct prevention system for new information system. As a result, an improved ‘Information Security Pre-inspection’ is suggested. This has 16 domains, 54 inspection items, 76 detail items which include some improvement requirements and reconstitution needs.
참고문헌 (14)
- "2015 National Information Security White Book", pp.300~ (2015)
- "Information Security Management System(ISMS)"[URL]
- "SECUrity Assessment for Readiness (SECU-STAR)", The Korea Federation of ICT Organizations, ~ (2014)
- NIST, "The Economic Impacts of Inadequate Infrastructure for Software Testing", ~ (2002)
- "Security Development Lifecycle"[URL]
- Systems Security Engineering-An Integrated Approach to Building Trustworthy Resilient Systems, "NIST", ~, pp.Special Publication 800-160 (2014)
- "2014 National Information Security White Book", pp.300~ (2015)
- 이근호, "정보시스템의 정보보호를 위한 사전점검에 관한 연구", 디지털융복합연구, 12(2), pp.513~518 (2014), 한국디지털정책학회[DOI]
- "NIA-PAG(NIA's IT Project Auditing Guideline)v2.0-2013.08", NIA, ~ (2013)
- "PIA(Privacy Impact Assessment)", KISA, ~ (2011)
- Security in the Software Lifecycle Making Software Development Processes - and Software Produced by Them-More Secure, "Department of Homeland Security", ~ (2006)
- "ISO", IEC DIS 27036-3, Guidelines for ICT supply chain security, 2013
- Notional Supply Chain Risk Management Practices for Federal Information Systems, "NIST", ~ (2012)
- ISA Security, "NIST Cybersecurity Framework ISCI Response to Request for Information" (2013), ISASecure